何を学ぶか
実務では 何がこの仕組みの入口になるか？ を先に確認する。設定値だけでなく、入力と出力の境界を明確にする。
静的コンテンツを安全に配信・操作する
単一ダウンロード、直接アップロード、複数コンテンツ配信、VPC内アクセスをそれぞれ適した境界で守る。
TL;DR — この章で学ぶこと
- 署名付きURLとCookieを使い分ける
- S3への直接操作は短命の権限で行う
- VPC EndpointでNAT依存を減らす
01署名付きURLとCookieを使い分ける
何がこの仕組みの入口になるか？ — 署名付きURLとCookieを使い分けるを、構成図の矢印から読み解く。
02S3への直接操作は短命の権限で行う
どのサービスが責任を持つか？ — S3への直接操作は短命の権限で行うを、構成図の矢印から読み解く。
何を学ぶか
実務では どのサービスが責任を持つか？ を先に確認する。設定値だけでなく、入力と出力の境界を明確にする。
03VPC EndpointでNAT依存を減らす
失敗時にはどこへ戻る／進むか？ — VPC EndpointでNAT依存を減らすを、構成図の矢印から読み解く。
何を学ぶか
実務では 失敗時にはどこへ戻る／進むか？ を先に確認する。設定値だけでなく、入力と出力の境界を明確にする。
結論
- 利用者 → CloudFront → S3 のダウンロードでは、単一オブジェクトにSigned URL、複数の保護コンテンツにSigned Cookieを使う。許可後にだけCloudFrontからS3へ取得する。
- ブラウザからS3へアップロードする時は、アプリが署名付きURLを発行し、ブラウザがS3へ直接PUTする。アプリサーバーへ大容量データを中継しない。
- VPC内のLambda/サーバーからS3にはGateway Endpoint、Parameter StoreなどにはInterface Endpointを選び、必要なポリシーとSecurity Groupで通信を狭める。